Udstedelse af legitimationsbeviser forklaret: fra tilbud til accepteret bevis
OpenID4VCI er den europæiske standard for at få et legitimationsbevis ind i nogens tegnebog: et eksamensbevis, en virksomhedsregistrering, et synscertifikat. At udlevere et ser ud som ét enkelt øjeblik for indehaveren, men flere ting skal falde på plads bag det, og hver af dem kan fejle på sin egen måde. Denne side gennemgår det med et vognmandsfirma som eksempel.
To måder en udstedelse begynder på
De fleste udstedelser begynder med, at udstederen tilbyder et legitimationsbevis, som regel som en QR-kode eller et link. Om indehaveren derefter skal logge ind, afhænger af én ting: ved udstederen allerede, hvem den har med at gøre. Begge veje ender samme sted, med beviset i tegnebogen.
Indehaveren er allerede kendt
1. Issuer
Ved allerede, hvem den har med at gøre, og tilbyder beviset der og da
2. Wallet
Accepterer tilbuddet og bekræfter nogle gange en kort kode sendt separat
3. Wallet
Henter beviset og låser det til denne enhed
Indehaveren skal logge ind først
1. Wallet
Starter fra et tilbud eller går til udstederen på indehaverens eget initiativ
2. Udstederens login
Fører indehaveren gennem login og samtykke til det, der skal udstedes
3. Wallet
Henter beviset og låser det til denne enhed
Hele livscyklussen for et legitimationstilbud
En udstedelse løber gennem trinnene nedenfor. Hvert af dem kan fejle for sig, og det er de fejl, en support ender med at håndtere, så det er værd at vide, hvor de sidder, før du designer processen omkring dem.
Et gennemarbejdet eksempel: et synscertifikat til en vognpark
Et synsorgan udsteder et synscertifikat til et vognmandsfirmas forretningstegnebog efter et rutinesyn. Inspektøren har allerede bekræftet, hvem vognparkchefen er på synsstedet, så der er ingen grund til at få vedkommende til at logge ind igen.
1. Tilbuddet
Terminalen på synsstedet viser en QR-kode
At scanne den åbner tegnebogen og viser, hvilket bevis der tilbydes
2. Hvad der tilbydes
Tegnebogen læser udstederens offentliggjorte beskrivelse af beviset
Så vognparkchefen ser, hvad certifikatet indeholder, før der gives samtykke til noget
3. Bekræftelse
Tegnebogen bekræfter en kort kode, som synsorganet har sms'et til vognparkchefen
En, der fotograferer QR-koden over skulderen, kan stadig ikke hente certifikatet
4. At låse det til tegnebogen
Tegnebogen beviser, at den har en hemmelighed, der aldrig forlader enheden
Certifikatet er knyttet til den hemmelighed, så en kopi af det er værdiløs på en anden enhed
5. Udstedt og gemt
Synsorganet signerer certifikatet, og tegnebogen gemmer det
Herfra kan vognmandsfirmaet vise det til en kunde eller en kontrolmyndighed på sekunder
Når beviset ikke er klar endnu
Eksemplet ovenfor forudsætter, at synsresultatet er endeligt. Hvis et grænsetilfælde først skal forbi en overordnet inspektør, kan certifikatet ikke udleveres på stedet. Standarden dækker det tilfælde i stedet for at tvinge vognparkchefen til at komme igen.
Udstedt på stedet
Indehaveren går derfra med beviset i tegnebogen i én arbejdsgang.
Udstedt senere
Udstederen siger, at den har brug for mere tid, og tegnebogen henter beviset, når det er klar. Indehaveren skal ikke starte forfra eller møde op igen.
At lukke sløjfen
Efter udstedelsen kan tegnebogen fortælle udstederen, hvordan det endte. Det er valgfrit for begge parter, og levering er ikke garanteret, så det er nyttigt til at opdage et brudt forløb, men en udsteder kan ikke læse noget ud af en besked, der aldrig kommer.
Wallet
Kan fortælle udstederen, hvordan udstedelsen endte
Gemt
Beviset ligger i tegnebogen og er klar til brug
Mislykkedes
Noget gik galt, for eksempel at beviset ikke bestod kontrollen
Afvist
Indehaveren valgte ikke at beholde det
Hvad det betyder for dig
Issuer
Én standardmåde at udlevere legitimationsbeviser på, som enhver kompatibel tegnebog accepterer, uden integration pr. tegnebog og uden en portal, indehaverne skal logge ind på.
Indehaver
Du ser, hvad du får, før du accepterer det, og det er knyttet til din enhed frem for til et login, du kan miste.
Verifikator
Legitimationsbeviser ankommer allerede kontrollerede og allerede bundet til den tegnebog, der fremviser dem, så det at acceptere et er en kontrol og ikke en efterforskning.
Teknisk fordybelse
Denne side forklarer, hvad teknologien gør, og hvem den berører. Vores udviklerdokumentation dækker selve implementeringen: meddelelserne, felterne og de gennemarbejdede eksempler, et integrationsteam har brug for.
Læs den tekniske dokumentationRelaterede begreber
Ofte stillede spørgsmål
Hvornår skal indehaveren logge ind, og hvornår ikke?
Det afhænger af, om udstederen allerede ved, hvem den har med at gøre. En inspektør, der lige har synet et køretøj personligt, har ikke brug for, at vognparkchefen logger ind igen, så beviset tilbydes på stedet. En onlinetjeneste, der aldrig har mødt indehaveren, sender dem først gennem sit eget login. Selve tilbuddet fortæller, hvilken af de to der gælder.
Hvordan ved tegnebogen, hvad den er ved at modtage?
Hver udsteder offentliggør en beskrivelse af, hvad den udsteder, og tegnebogen læser den, før noget andet sker. Det er det, der gør det muligt for tegnebogen at vise indehaveren, hvad beviset er, og hvad det indeholder, så samtykket betyder noget. Det betyder også, at en udsteder kan tilføje en ny bevistype, uden at hver tegnebog skal opdateres.
Hvad forhindrer nogen i at kopiere et legitimationsbevis til en anden enhed?
Før udstedelsen beviser tegnebogen, at den har en hemmelighed, der aldrig forlader enheden, og udstederen knytter beviset til den. En verifikator kan senere bede tegnebogen om at bevise det samme igen. En kopi af beviset uden den hemmelighed består ikke kontrollen, så det nytter intet at kopiere filen.
Hvad hvis legitimationsbeviset ikke kan udstedes med det samme?
Nogle kontroller tager længere tid, end en person er villig til at vente: en manuel gennemgang eller et opslag i et langsomt eksternt register. Udstederen kan sige det, og tegnebogen henter legitimationsbeviset, når det er klar. Indehaveren skal ikke starte forfra eller møde op igen.
Får udstederen at vide, om legitimationsbeviset faktisk blev beholdt?
Det kan den, men kun som en høflighed. Tegnebogen kan melde, at beviset blev gemt, at indehaveren afviste det, eller at noget gik galt. Ingen af parterne er forpligtet til at understøtte det, og levering er ikke garanteret, så en udsteder bør betragte det som et nyttigt signal og aldrig som en dokumentation for, hvad der skete.
Kilder
Denne side er udelukkende til orientering og udgør ikke juridisk rådgivning. Kontakt OpenID Foundation og Europa-Kommissionen direkte for autoritativ vejledning.